核心策略：將 ROS 改為 PPPoE 伺服器，客戶端撥號上網

ARP 攻擊涉及網路設備眾多，但根源在於區域網路內 ARP 協定的信任機制。PPPoE 封包不使用 ARP 協定，從根本上杜絕 ARP 欺騙，且不改變原有區域網路拓撲（基於 802.3 進行二次封裝）。筆者在數十家網咖實施，100% 解決 ARP 掉線問題。

第一階段：RouterOS (ROS) 端設定

1. 將 ROS 設定為 PPPoE Server 模式帶動客戶機上網。
2. 參考論壇圖文教學完成 PPPoE Server 設定（含 IP Pool、Profile、Secrets 等）。

第二階段：客戶端 (Windows) 自動撥號設定

Windows 內建 PPPoE 撥號功能，透過批次檔 + 啟動項/排程任務實現開機自動撥號。

建立撥號批次檔

1. 桌面右鍵 → 新增 → 文字文件，命名為 `adsl.bat`。
2. 輸入指令：rasdial 寬帶連接 帳號 密碼
   說明：`rasdial` 為 Windows 內建撥號指令；`寬帶連接` 為網路連線名稱（可自訂）；帳號、密碼請填真實寬帶帳密；各參數間需有一空格。
3. 儲存檔案。

設定開機自動執行（二選一）

• 啟動資料夾法： 將 `adsl.bat` 拖入「開始 → 所有程式 → 啟動」。
• 排程任務法： 在控制台「排程任務」建立新任務，觸發條件設為「啟動時」，執行 `adsl.bat`。

適用 Windows 98/Me/2000/XP/2003。

關鍵步驟：停用本地連線的閘道與 DNS

在「網路連線」中，右鍵「區域連線」→ 內容 → Internet 協定 (TCP/IP) → 內容，移除預設閘道與 DNS 伺服器位址，避免流量走區域網路而繞過 PPPoE 通道。

原理補充：為何 PPPoE 能根治 ARP

• PPPoE 在乙太網路幀上二次封裝，封包傳輸不依賴 ARP 解析 MAC，自然免疫 ARP 欺騙。
• 其他方案（雙向綁定 MAC/IP、網管交換機綁定、端點 ARP 防火牆）皆屬緩解措施，且部署成本高、維護難、無法根治。

公安監管合規配置（供參考）

• 方案一：光纖 → 鏡像交換機（給公安監管埠） → ROS（含一鏡像埠） → 客戶機。
• 方案二：使用 ROS `Packet Sniffer` 工具，將指定介面封包鏡像至裝有「任子行」等監管軟體的伺服器，實現合規監控。